presseportale/app/Services/Auth/SocialAccountLinker.php

<?php

namespace App\Services\Auth;

use App\Mail\SocialAccountLinkConfirmation;
use App\Models\User;
use Illuminate\Support\Facades\Mail;
use Illuminate\Support\Facades\RateLimiter;
use Illuminate\Support\Facades\Session;
use Illuminate\Support\Facades\URL;

/**
 * Bestätigte Erstverknüpfung eines Social-Logins mit einem bestehenden Konto
 * (Sicherheitsaudit 07.10.2026, S-05, Entscheidung 3).
 *
 * Die Provider-Identität wird zunächst nur in der Session vorgemerkt, die
 * den Login gestartet hat; an die Kontoadresse geht ein signierter Link.
 * Verknüpft wird erst, wenn dieser Link in DERSELBEN Browser-Session geöffnet
 * wird. So belegt der Klick den Postfachbesitz, und ein Postfachinhaber, der
 * eine fremd ausgelöste Mail anklickt, verknüpft nichts.
 */
class SocialAccountLinker
{
    public const SESSION_KEY = 'oauth.pending_link';

    public const EXPIRES_IN_MINUTES = 30;

    public function __construct(private readonly SocialAuthService $social) {}

    /**
     * Merkt die Verknüpfung vor und verschickt den Bestätigungslink.
     * Liefert false, wenn für das Konto zu viele Anfragen kamen.
     */
    public function requestConfirmation(User $user, string $provider, string $providerId): bool
    {
        $throttleKey = 'social-link-mail:'.$user->getKey();

        if (RateLimiter::tooManyAttempts($throttleKey, 3)) {
            return false;
        }

        RateLimiter::hit($throttleKey, 600);

        $expiresAt = now()->addMinutes(self::EXPIRES_IN_MINUTES);

        Session::put(self::SESSION_KEY, [
            'user_id' => $user->getKey(),
            'provider' => $provider,
            'provider_id' => $providerId,
            'expires_at' => $expiresAt->getTimestamp(),
        ]);

        $confirmUrl = URL::temporarySignedRoute('oauth.google.confirm-link', $expiresAt, [
            'user' => $user->getKey(),
            'provider_id' => $providerId,
        ]);

        Mail::to($user->email)->queue((new SocialAccountLinkConfirmation(
            user: $user,
            confirmUrl: $confirmUrl,
            expiresAt: $expiresAt->format('H:i'),
        ))->afterCommit());

        return true;
    }

    /**
     * Speichert die vorgemerkte Verknüpfung, wenn sie zu dieser Session,
     * diesem Konto und dieser Provider-Identität gehört.
     */
    public function confirm(User $user, string $providerId): bool
    {
        $pending = Session::pull(self::SESSION_KEY);

        if (! is_array($pending)
            || (int) ($pending['user_id'] ?? 0) !== (int) $user->getKey()
            || ! hash_equals((string) ($pending['provider_id'] ?? ''), $providerId)
            || (int) ($pending['expires_at'] ?? 0) < now()->getTimestamp()) {
            return false;
        }

        if (filled($user->oauth_provider_id)) {
            return hash_equals((string) $user->oauth_provider_id, $providerId);
        }

        $this->social->link($user, (string) $pending['provider'], $providerId);

        return true;
    }
}